Azure Cosmos DB ファイアウォール: プロキシのパブリック egress IP を許可する

Cosmos DB クライアントをフォワードプロキシ経由でルーティングすると、データベースアカウントから見えるネットワーク送信元が変わります。そのため、ワークステーションの直接のパブリックアドレスを許可している IP ファイアウォールは、プロキシ経由の要求を拒否することがあります。

パブリックアクセスと選択したネットワークを使うアカウントでは、プロキシ経路のパブリック egress IP または承認済みの範囲を許可します。これはプロキシの先にある NAT アドレスであることが多く、Python クライアントがリスナーに到達するために使うホスト名やプライベートアドレスではありません。

プロキシ事業者が割り当てた egress 情報を使用します。ローテーションする出口プールには、適切な固定経路か承認済みの出口アドレス群が必要です。観測した 1 つのアドレスだけを許可すると、後続の接続が別のアドレスを使う場合に信頼できません。

Cosmos DB は、IP 許可リスト外の要求に対して 403 応答を返すと文書化しています。ファイアウォールの更新が反映されるまで最大 15 分かかることがあります。許可されたネットワーク送信元でも有効な承認が必要なため、データベースアカウントの通常の承認資格情報はそのままにしておきます。